CVE-2026-85014 in undici
Tóm tắt
Bởi VulDB • 04/09/2026
Client WebSocketStream experimental của undici làm sập toàn bộ tiến trình Node.js khi một peer từ xa đóng kết nối TCP mà không có quy trình handshake close của WebSocket. Khi quá trình đóng diễn ra không sạch (unclean), handler xử lý đóng socket nội bộ sẽ gọi hàm abort trên writable stream một cách vô điều kiện và bỏ qua promise trả về; tuy nhiên, theo tiêu chuẩn WHATWG Streams, việc abort một writable bị khóa sẽ tạo ra một promise reject với lỗi TypeError. Vì ứng dụng đang giữ một writer trên writable đó (đây là cách duy nhất để ghi dữ liệu), nên sự reject này không bao giờ được quan sát và hành vi mặc định của Node.js đối với unhandled-rejection sẽ kết thúc tiến trình. Do đó, một máy chủ không đáng tin cậy có thể làm sập client chỉ bằng một lần ngắt kết nối đột ngột, mà không cần xác thực cũng như không do lỗi ứng dụng. Điều này ảnh hưởng đến các phiên bản undici từ 7.0.0 trở lên đến 7.29.1 và từ 8.0.0 trở lên đến 8.10.2. Người dùng nên nâng cấp lên undici 7.29.1 hoặc 8.10.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.